Μια νέα μέθοδος επίθεσης στο macOS έχει προκαλέσει έντονο προβληματισμό στην κοινότητα της κυβερνοασφάλειας, καθώς θα μπορούσε να επιτρέψει σε απλούς χρήστες ενός συστήματος να απενεργοποιήσουν κρίσιμα εργαλεία προστασίας χωρίς να διαθέτουν δικαιώματα διαχειριστή. Τα ευρήματα προέρχονται από την εταιρεία ασφαλείας XM Cyber, η οποία αποκάλυψε ότι η τεχνική αξιοποιεί τον τρόπο με τον οποίο το λειτουργικό σύστημα της Apple διαχειρίζεται ορισμένες αξιόπιστες επικοινωνίες μεταξύ εφαρμογών.
Αν και η επίθεση δεν πραγματοποιείται εξ αποστάσεως και προϋποθέτει ότι ο εισβολέας έχει ήδη αποκτήσει πρόσβαση σε έναν λογαριασμό χρήστη στο Mac, οι ειδικοί προειδοποιούν ότι το συγκεκριμένο σενάριο είναι αρκετά συνηθισμένο στις σύγχρονες κυβερνοεπιθέσεις. Μόλις ένας επιτιθέμενος αποκτήσει αρχική πρόσβαση, συχνά επιχειρεί να εξουδετερώσει τα συστήματα παρακολούθησης και προστασίας προκειμένου να κινηθεί ανεμπόδιστα μέσα στο εταιρικό δίκτυο.
Δείτε επίσης: Ευπάθεια Sploitlight στο macOS επιτρέπει κλοπή προσωπικών δεδομένων
Πώς λειτουργεί η νέα τεχνική
Σύμφωνα με την XM Cyber, η μέθοδος εκμεταλλεύεται το πλαίσιο επικοινωνίας XPC του macOS, το οποίο χρησιμοποιείται για την ανταλλαγή δεδομένων και εντολών μεταξύ εφαρμογών και υπηρεσιών του συστήματος.
Οι ερευνητές διαπίστωσαν ότι όταν ένας χρήστης εκτελεί μια νόμιμη και ψηφιακά υπογεγραμμένη εφαρμογή, το macOS αποθηκεύει προσωρινά ένα είδος «trust fingerprint». Ένας επιτιθέμενος μπορεί στη συνέχεια να τροποποιήσει συγκεκριμένα τμήματα της εφαρμογής και να εισαγάγει κακόβουλο κώδικα, διατηρώντας παράλληλα τη σχέση εμπιστοσύνης που έχει ήδη δημιουργηθεί.
Το αποτέλεσμα είναι ότι ο εισβολέας μπορεί να εκτελέσει προνομιακές λειτουργίες XPC, οι οποίες υπό φυσιολογικές συνθήκες προορίζονται αποκλειστικά για αξιόπιστα στοιχεία λογισμικού και όχι για έναν τυπικό λογαριασμό χρήστη.
Επιτυχημένες δοκιμές σε δημοφιλή εργαλεία ασφαλείας
Η XM Cyber αποκάλυψε ότι κατάφερε να εφαρμόσει με επιτυχία την τεχνική σε δύο γνωστές πλατφόρμες εταιρικής ασφάλειας: το CrowdStrike Falcon και το Kandji.
Στην περίπτωση του Falcon, οι ερευνητές κατάφεραν να απενεργοποιήσουν τον αισθητήρα προστασίας από έναν απλό λογαριασμό χρήστη. Αντίστοιχα, στο Kandji μπόρεσαν να παρακάμψουν μηχανισμούς προστασίας απεγκατάστασης και να απενεργοποιήσουν λειτουργίες ασφάλειας του endpoint.
Το ιδιαίτερα ανησυχητικό στοιχείο είναι ότι οι επιθέσεις αυτές δεν απαιτούσαν εκμετάλλευση του πυρήνα του λειτουργικού συστήματος ούτε παράκαμψη του System Integrity Protection (SIP), ενός από τους βασικούς μηχανισμούς ασφαλείας του macOS.
Η Kandji έχει ήδη προχωρήσει στη διάθεση διορθωτικής ενημέρωσης και έχει καταχωρίσει την ευπάθεια με τον κωδικό CVE-2026-39118. Από την πλευρά της, η Apple δεν έχει εκδώσει ακόμη επίσημη συμβουλευτική οδηγία για τα ευρήματα της έρευνας.
«Η τεχνική αυτή εκμεταλλεύεται μια αδυναμία του macOS, ωστόσο ο Falcon sensor της CrowdStrike διαθέτει ήδη δυνατότητες ανίχνευσης και αποτροπής της συγκεκριμένης τεχνικής», ανέφερε εκπρόσωπος της CrowdStrike.
Δείτε επίσης: Ευπάθεια Docker επιτρέπει λήψεις container images σε χρήστες MacOS
Γιατί το ζήτημα αφορά ιδιαίτερα τις επιχειρήσεις
Τα τελευταία χρόνια οι υπολογιστές Mac έχουν αποκτήσει ολοένα μεγαλύτερη παρουσία σε επιχειρηματικά περιβάλλοντα. Πολλές εταιρείες επιλέγουν το οικοσύστημα της Apple λόγω της σταθερότητας και των ισχυρών μηχανισμών ασφαλείας που προσφέρει.
Ωστόσο, εργαλεία όπως το CrowdStrike Falcon και το Kandji αποτελούν συχνά την τελευταία γραμμή άμυνας μεταξύ ενός παραβιασμένου λογαριασμού χρήστη και της πρόσβασης σε κρίσιμα εταιρικά δεδομένα. Αν ένας εισβολέας μπορέσει να εξουδετερώσει αυτά τα επίπεδα προστασίας χωρίς δικαιώματα διαχειριστή, αποκτά σημαντικό στρατηγικό πλεονέκτημα.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Οι ειδικοί εκτιμούν ότι η συγκεκριμένη έρευνα αναδεικνύει ένα ευρύτερο πρόβλημα σχεδιασμού. Πολλές εφαρμογές βασίζονται κυρίως στους ελέγχους ψηφιακής υπογραφής για να καθορίσουν εάν ένα αίτημα είναι αξιόπιστο. Όμως, όπως δείχνουν τα ευρήματα της XM Cyber, αυτή η προσέγγιση ενδέχεται να μην είναι πλέον επαρκής απέναντι στις σύγχρονες τεχνικές επίθεσης.
Δείτε επίσης: Νέα ευπάθεια στο Microsoft Edge επιτρέπει παράκαμψη μηχανισμών ασφαλείας
Πώς μπορούν να προστατευτούν οι χρήστες
Παρότι η μέθοδος απαιτεί αρχική πρόσβαση σε λογαριασμό χρήστη, οι οργανισμοί καλούνται να ενισχύσουν τα μέτρα άμυνάς τους. Η χρήση ισχυρών κωδικών πρόσβασης, η ενεργοποίηση ελέγχου ταυτότητας πολλαπλών παραγόντων και η συνεχής ενημέρωση του macOS και των εφαρμογών ασφαλείας μπορούν να μειώσουν σημαντικά τον κίνδυνο.
Παράλληλα, οι διαχειριστές εταιρικών συστημάτων θα πρέπει να παρακολουθούν στενά τις οδηγίες των προμηθευτών λογισμικού και να εφαρμόζουν άμεσα τις διαθέσιμες διορθώσεις.
Η XM Cyber σκοπεύει να παρουσιάσει αναλυτικά την τεχνική κατά τη διάρκεια του Black Hat Arsenal στο Λας Βέγκας τον Αύγουστο, όπου θα παρουσιάσει επίσης το εργαλείο ανοιχτού κώδικα XPC Hunter. Η υπόθεση υπενθυμίζει ότι ακόμη και ώριμες και θεωρητικά ασφαλείς πλατφόρμες, όπως το macOS, μπορούν να εμφανίσουν απρόσμενες επιφάνειες επίθεσης όταν οι μηχανισμοί εμπιστοσύνης μεταξύ εφαρμογών δεν επαληθεύονται με επαρκή αυστηρότητα.
